DPI, VPN'leri nasıl engeller

Bir filtreleme kurulumunu tek bir duvar yerine bir dizi kapı olarak düşünmek yardımcı olur. Bir bağlantı önce bir adres listesiyle karşılaştırılır, sonra protokolü sınıflandırılır, sonra meta verisi kurallarla eşleştirilir ve sonra — belki saatler sonra — uç noktası, orada ne çalıştığını doğrulamak için sondalanabilir. Bir kapıyı geçmek, bir sonrakine yakalanacaksanız hiçbir şey ifade etmez.

Bu aynı zamanda birçok kişinin kafasını karıştıran bir deneyimi de açıklar: haftalarca kusursuz çalışan bir tünelin, sizin tarafınızda hiçbir şey değişmeden durması. Trafiğiniz hakkında hiçbir şey değişmedi. Uç nokta bant dışı biçimde tespit edilip bir listeye eklendi.

En eski ve en ucuz yöntem, bir VPN protokolünü kendi el sıkışmasından tanımaktır. VPN protokollerinin çoğu, tehdit modelinin bir sınıflandırıcı değil bir dinleyici olduğu dönemde tasarlandı ve kendilerini hat üzerinde açıkça ilan ederler.

Kendini TLS olarak sunan her şey için sıradaki kontrol Server Name Indication alanıdır — istemcinin istediği, şifreleme başlamadan önce açık olarak gönderilen ana bilgisayar adı. Tek bir adresin birçok siteye hizmet verebilmesi için vardır ve yürürlükteki hemen her filtreleme sistemi tarafından okunur.

• Kara liste: ana bilgisayar adı bir listede geçiyorsa bağlantı düşürülür. Site düzeyindeki engellemelerin çoğu böyle çalışır.
• Beyaz liste: ana bilgisayar adı bir listede geçmiyorsa bağlantı düşürülür. Çok daha saldırgandır, bazı kurumsal ve ulusal ağlarda kullanılır ve etrafından dolaşmak çok daha zordur.
• Tutarlılık denetimi: ana bilgisayar adı, çözümlendiği adresle ya da sunucunun sunduğu sertifikayla karşılaştırılır. Uyuşmazlık şüpheli sayılır.

Encrypted Client Hello bunun standartlaşmış çözümüdür: ana bilgisayar adını şifreler, böylece bir gözlemci okuyamaz. Yaygınlaşması kısmidir, ağın da denetiminde olabilecek DNS kayıtlarına bağlıdır ve neredeyse hiç kimsenin kullanmadığı bir ağda onu kullanıyor olmanız başlı başına bir işarettir. Durumu iyileştirir; kapıyı kapatmaz.

TLS'in kendisi yanlış görünüyorsa bir tüneli TLS'e sarmak yeterli değildir. İstemcinin açılış mesajı sıralı bir şifre takımı, desteklenen grup, imza algoritması ve uzantı listesi taşır. Tam bileşim uygulamadan uygulamaya değişir — bir Go programı, bir OpenSSL programı ve Chrome açıkça farklı Client Hello'lar üretir — ve kısa bir parmak izine özetlenebilir.

Bir bağlantı bir web sunucusuyla konuşan bir tarayıcı olduğunu iddia ediyor ama bir Go ağ kütüphanesinin TLS parmak izini taşıyorsa, tek başına bu uyuşmazlık onu sınıflandırmaya yeter. Ciddi uygulamaların yalnızca TLS kullanmakla yetinmemesinin sebebi budur: belirli bir tarayıcının el sıkışmasını bayt bayt yeniden üretirler ve tarayıcılar değiştikçe bunu sürdürmek zorundadırlar.

En kalıcı tespit yöntemi trafiğinizi hiç sınıflandırmaz. Sistem, tanımadığı bir adrese bağlandığınızı not eder ve sonra kendisi o adrese bağlanıp istemci taklidi yapar. Kararı, geri gelen şey verir.

1. 1

   Gözlem

   İtibarı olmayan, eşleşen bir DNS geçmişi bulunmayan ve sıra dışı bir trafik profili taşıyan bir adrese giden akış, sonradan bakılmak üzere kaydedilir.

2. 2

   Sondalama

   Sistem o adrese kendi bağlantısını açar; kimi zaman oturumunuzdan yakaladığı baytları yeniden oynatır, kimi zaman bilerek anlamsız veri gönderir.

3. 3

   Hüküm

   Sıradan bir web sunucusu normal bir yanıtla ya da bir TLS uyarısıyla karşılık verir ve kendisine ne saçmalık gönderilirse gönderilsin aynı davranır. Naif bir vekil farklı yanıt verir — askıda kalabilir, hemen kapatabilir ya da hiçbir web sunucusunun vermeyeceği bir karşılık verebilir.

4. 4

   Eylem

   Yanıt anormalse adres engel listesine girer ve o port, kullanan herkes için çalışmaz olur.

Savunma, sunucunun geçerli kimlik bilgisi olmayan herkes için — düşmanca girdi altında bile — sıradan bir siteden gerçekten ayırt edilemez olmasıdır. Bu ailedeki protokoller bunu, kimliği doğrulanmamış bağlantıları gerçek bir web sunucusuna ileterek ve yanıtı ona bırakarak başarır; böylece sonda gerçek bir site alır, çünkü gerçekten birine ulaşmıştır.

Hat üzerinde olan bitenden bağımsız olarak, adreslerin kendisi de itibar taşır. Tanınmış barındırma sağlayıcılarına ait aralıklar yaygın biçimde veri merkezi alanı olarak etiketlenir ve bazı ağlar bunları varsayılan olarak kısıtlar ya da ek doğrulamaya tabi tutar. Herkese açık bir listede yayımlanmış adresler — sağlayıcı tarafından, bir uygulama mağazası açıklamasında ya da bir forum gönderisinde — hiçbir inceleme olmadan engellenebilir.

Hiçbir protokol tasarımı buna çare olmaz. Bu, trafiğin değil adresin bir özelliğidir. Uç nokta rotasyonunun var olma sebebi budur; geniş biçimde paylaşılmış kamuya açık bir uç noktanın, dar dağıtılmış bir uç noktadan daha kısa ömürlü olmasının sebebi de.

Engelleme göze çarpar ve şikâyet davet eder. Yavaşlatma çarpmaz. Muhtemelen-tünel olarak sınıflandırılmış bir akış birkaç yüz kilobite kadar şekillendirilebilir; bu, mesajlaşmayı kullanılabilir, videoyu imkânsız bırakır ve tıpatıp tıkanmış bir ağ gibi görünür.

İstemci tarafından imzası şudur: bağlantı normal kurulur, bir iki saniye tam hızla veri aktarır ve sonra düşük ve kuşkulu biçimde kararlı bir hıza oturur — kararlılık asıl ipucudur, çünkü gerçek tıkanıklık dalgalanır. Bunu doğrulamanın yolu, aynı anda alakasız bir hedefe kurulmuş bir kontrol bağlantısıyla karşılaştırmalı ölçüm yapmaktır.

Dürüst özet şudur: protokol tasarımı ilk dördünü iyi karşılar, beşincisi hakkında hiçbir şey yapamaz ve son ikisinin yalnızca maliyetini artırır. Bir tünelin tespit edilemez olduğu yönündeki her iddia, henüz kararlı bir işletmeciyle karşılaşmamış bir sistemi tarif ediyordur.